凌晨两点，被黑老张的客网电脑屏幕突然弹出一行红字：“你的所有文件已被加密，支付0.5个比特币，络敲否则明天全网公开你的诈办客户数据。”他做外贸生意，被黑电脑里存着三百多个客户的客网合同和联系方式。那一瞬间他手是络敲抖的，第一反应是诈办拔网线，第二反应是被黑——要不要付钱？

别急着转账。黑客拿钱不办事的客网概率，比你想象的络敲高得多。我跟踪过十几个勒索软件案例，诈办真正在付款后拿到解密密钥的被黑不到六成。更糟的客网是，有些团伙收完第一笔钱，络敲过两周换个名目再敲你一次。他们管这叫“二次收割”。

先做三件事。第一，立刻断网。拔掉网线、关掉WiFi，别让加密程序继续横向感染局域网里的其他设备。第二，别关机，别格式化。内存和临时文件里可能残留解密线索，关机反而会丢掉。第三，拿手机拍下屏幕上的勒索信息，包括钱包地址、联系方式、倒计时页面。这些截图后面报案用得上。

然后判断你中的是哪类勒索软件。有些是“广撒网”型，比如Phobos、Dharma家族，它们主要靠暴力破解远程桌面端口进来。这类软件加密算法往往有漏洞，网上已经有免费解密工具，去No More Ransom项目官网传一个被加密的文件样本，系统会自动匹配。我见过一个做设计的小姑娘，中了Phobos，用工具二十分钟就恢复了八成文件。

但如果是LockBit、BlackCat这类“定向攻击”团伙，解密工具基本没戏。它们用的加密算法没被破解，密钥在黑客服务器上。这时候别幻想自己能逆向。也别去找那些声称“先付定金、解密后付尾款”的第三方数据恢复公司，十个里有九个是骗子，剩下那个也只是帮你交赎金赚差价。

报警。我知道很多人觉得报警没用，但实际情况是，国内公安网安部门对勒索软件有专项处理流程。2023年浙江一家制造企业被LockBit攻击，报警后网安介入，通过国际执法协作通道冻结了部分赎金流转，虽然文件没全回来，但至少阻止了二次敲诈。报案时带上你拍下的截图、被加密文件的样本、还有你记得的最近异常操作——比如有没有点过陌生邮件附件、有没有开过远程桌面。

如果数据实在重要，比如医院病历、律所案卷，考虑支付赎金是最后选项。但记住几个原则：只付比特币或门罗币，别付礼品卡；要求对方先解密两个小文件验证密钥有效；谈判时别暴露你愿意付多少，先拖时间。有个做视频剪辑的哥们儿，被要价2个比特币，他硬是跟对方聊了三天，最后砍到0.3个。黑客也是人，也急着回款。

最该做的事其实在攻击发生之前。我自己的习惯是：重要文件用移动硬盘冷备份，每周一次，备份完拔掉硬盘。云盘同步只放不敏感的资料。远程桌面端口绝对不暴露在公网，要用就挂VPN。还有，别用同一个密码走天下——黑客拿到你一个旧论坛的密码，就能撞库进你的邮箱，再从邮箱重置你其他账号。

老张最后没付钱。他报了警，网安帮他恢复了部分文件，剩下的从客户那里重新要了合同副本。他说那晚最庆幸的事，是半年前听人劝买了个移动硬盘。现在他每周五下午固定做备份，雷打不动。